Descifrando el interés legítimo

Presentación divulgativa para no expertos en la que se analizan los efectos de la sentencia del Tribunal Supremo que anula el artículo 10.2.b del Reglamento de la LOPD y se dan algunas pistas para descifrar el concepto de interés legítimo exigido en la LOPD y en la Directiva.

El análisis se refiere a una fase anterior al tratamiento, por lo que no se hace referencia a la obligación de informar al interesado, entre otros extremos, sobre la incorporación de sus datos a un fichero con el fin de que pueda ejercitar los derecho de acceso, rectificación, cancelación y oposición.

Para mejorar la visualización se puede seleccionar la resolución 720 (HD) haciendo clic en el engranaje del vídeo.

El Tribunal Supremo anula el artículo 10.2.b del Reglamento de la LOPD

El Tribunal Supremo ha dictado sentencia anulando el artículo 10.2.b del Real Decreto 1720/2007 de desarrollo de la LOPD, por ser contrario al derecho comunitario.

Dicho artículo exigía que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpliese el requisito adicional de que dichos datos figurasen en fuentes accesibles al público.

Entrada anterior en la que explicaba la trascendencia de la anulación de este artículo.

Sentencia del Tribunal Supremo

Más opciones para el tratamiento de datos sin consentimiento

La sentencia dictada el jueves pasado por el Tribunal de Justicia de la UE declara inaplicables el artículo 6.2 de la LOPD y el artículo 10.2.b del Reglamento de la LOPD, en relación a la exigencia de que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpla el requisito adicional de que dichos datos figuren en fuentes accesibles al público.

Consecuencias inmediatas

Los efectos de esta sentencia en los tratamientos de datos personales que se realicen a partir de ahora son, a mi modo de ver, los siguientes:

- La relación restrictiva de fuentes accesibles al público pierde relevancia.

- Los datos personales podrán ser tratados sin consentimiento del interesado aunque no provengan de fuentes accesibles al público.

- Los únicos requisitos que deberán cumplirse serán: 1) el interés legítimo del responsable del fichero y 2) que no se vulneren los derechos y libertades fundamentales del interesado.

- Ello significa que cualquiera que sea el origen de los datos, incluido Internet, éstos podrán ser objeto de tratamiento y cesión, siempre que se cumplan los dos requisitos comentados y exista un equilibrio entre el interés legítimo y los derechos fundamentales del interesado. Las comunicaciones electrónicas comerciales seguirán precisando el consentimiento expreso del destinatario de las mismas, salvo en el caso de clientes.

- Vuelven a estar dentro de la ley muchos tratamientos que resultan inocuos para la intimidad del interesado y que hasta ahora estaban vedados a las empresas.

- Es recomendable seguir el protocolo que hasta ahora venía aplicándose para asegurar el cumplimiento del deber de información y la no vulneración del derecho a la intimidad, de manera que se pondere el equilibrio entre interés legítimo y derechos fundamentales.

- Se incluirá en este protocolo, entre otras medidas, el filtro de las listas Robinson, el filtro de las cancelaciones recibidas, la ponderación del justo equilibrio de intereses y la información sobre los derechos ARCO en las comunicaciones y en los plazos establecidos para ello.

El Tribunal declara el efecto directo del artículo 7.f en España, debido a una incorrecta trasposición de la misma, por lo que, en mi opinión, no es necesario esperar al pronunciamiento del Tribunal Supremo, que fue el que planteó las dos cuestiones prejudiciales. Por ello, no estoy de acuerdo con el contenido de la nota informativa de la AEPD y pienso que la sentencia puede abrir la posibilidad de que las empresas soliciten la devolución de las sanciones pagadas por determinadas infracciones relacionadas con la falta de consentimiento en las que había equilibrio entre interés legítimo y derechos fundamentales.

Sentencia del Tribunal de Justicia de la UE

Nota informativa de la AEPD

Protección de datos: ¿vuelta a los 80?

No es nada nuevo reconocer que la protección de nuestros datos personales es algo que los ciudadanos de un país reclamamos cuando todas las necesidades que ocupan un lugar inferior en la pirámide han sido satisfechas. Ya lo dijo un cliente al ver las cargas que suponía la aplicación de la LOPD en su empresa: “¡Cómo se nota que estamos en el primer mundo!”.

Los periódicos de esta semana auguran un escenario de recesión, con un posible modelo de doble bache. Si ello se confirmase, ¿podríamos llegar a ver algunos cambios en la posición que ocupamos los ciudadanos del primer mundo en la pirámide de Maslow?.

Algunas preguntas que surgen ante esa posibilidad:

1. ¿Puede una situación de crisis continuada generar la necesidad en las empresas de recurrir a fórmulas de márketing directo que les obliguen a asumir mayores riesgos en materia de cumplimiento normativo?

2. ¿Cuál debería ser la reacción de los destinatarios de esas campañas de marketing que nos devolverían al escenario que teníamos en los 80, antes de la aprobación de la LORTAD? ¿Deberíamos responder a las campañas con denuncias o con solidaridad, aplicando un sentimiento casi “patriótico”, similar al de los anglosajones, para eliminar cualquier obstáculo a la recuperación económica de nuestro país?

3. ¿Cuál debería ser el papel de la AEPD? ¿Debería centrarse en los casos más graves y dejar los leves para tiempos mejores? ¿O por el contrario debería convertirse en un instrumento recaudatorio dirigido a la reducir el déficit en los Presupuestos Generales del Estado?

Zynga, Facebook y los nuevos modelos de negocio y marketing

La próxima salida a bolsa de Zynga, la empresa que desarrolla la mayoría de los juegos más populares de Facebook, parece consolidar una plataforma de negocio que también es apta para los nuevos formatos de publicidad, marketing y merchandising.

Aunque el nivel de popularidad de estos juegos es notorio, no fue hasta hace unos meses, en una sesión de trabajo con clientes en la que estábamos analizando el tipo de datos del perfil de Facebook a los que este tipo de aplicaciones pedían acceso, cuando vi que mis hijos ya eran usuarios avanzados de Farmville, una aplicación que te permite administrar un granja virtual.

El modelo de negocio de Zynga, que puede ser una pesadilla para los padres pero una gran oportunidad para el sector, consiste en que el usuario necesita comprar artículos virtuales (semillas, herramientas, vehículos, terreno) para progresar en el juego. A partir de aquí, no es necesaria demasiada imaginación para ver hasta dónde puede llegar en el futuro la explotación de estos recursos:

  1. Contrato de merchandising en relación a las marcas, productos y personajes que pueden adquirirse en el juego.
  2. Contrato de licencia en materia de propiedad intelectual e industrial para el uso de imágenes, diseños, marcas, etc.
  3. Contrato de publicidad contextual para que aparezcan anuncios relacionados con cada escenario en los espacios publicitarios del juego: vallas, autobuses, vídeos, diálogos…
  4. Contrato de behavioral targeting en relación al comportamiento y al perfil de los usuarios.
  5. Contrato de cesión de datos segmentados en función del perfil del usuario y de las preferencias demostradas a través de su comportamiento y los productos adquiridos en el juego. Como es natural, el usuario dede dar su consentimiento previo para que dicha cesión pueda realizarse.

También se plantean retos como la correcta información que debe suministrarse al usuario sobre el tratamiento de sus datos, el alcance y proporcionalidad de la recogida de datos, la prueba del contenido y de la aceptación de las condiciones generales de contratación, entre otros.

Con este modelo de negocio, Zynga facturó en 2010 cerca de 850 millones de dólares y obtuvo un beneficio neto de 400 millones de dólares. 

El mercado de los bienes virtuales, como los que pueden adquirirse en los juegos de Zynga, registró el año pasado un volumen de negocio de 9.280 millones de dólares. ThinkEquity prevé que lleguen hasta los 20.300 millones en 2014. 

Fundada hace tan sólo cuatro años por el emprendedor Mark Pincus, 247 millones de personas entran en Facebook cada mes para jugar a títulos creados por Zynga, según Expansión. Entre estos juegos figuran el ya mencionado Farmville, Cityville, Mafia Wars y Texas Holdem Poker.

Venta de productos con datos personales en grandes superficies

Es la tercera vez que me ocurre y evidencia una mala gestión de las devoluciones por parte de las grandes superficies.

La primera vez fue un smartphone. Un cliente lo había comprado antes que yo y lo había devuelto sin borrar sus datos. La gran superficie se había limitado a ponerlo de nuevo en la vitrina, y ahí se quedó hasta que lo compré. Era el último que quedaba. En su interior había datos suficientes para saber lo que el anterior usuario había hecho durante los cinco días que lo tuvo en su poder. Las fotos y vídeos de su viaje a Palma de Mallorca, la agenda, los contactos, las llamadas realizadas y recibidas. Todavía ahora estaría avisándome del cumpleaños de una tal Marta si no fuese porque borré todos los contenidos. Al no devolverlo ni protestar por el incidente me sumé a la lista de clientes conformistas que hacen que tengamos los proveedores que nos merecemos.

La segunda vez fue un disco duro multimedia. Estaba lleno de películas familiares y fotos de un matrimonio con tres hijos.

La tercera vez (ayer) fue un disco duro de red. Había pertenecido a una empresa de electrodomésticos muy conocida. En la configuración de la red había los siguientes datos:

  • Dominio y contraseña de acceso del servidor corporativo.
  • Direcciones MAC de los ordenadores autorizados a acceder.
  • Nombres de los usuarios y derechos de acceso a las carpetas.
  • Cuota de disco de cada usuario.
  • Registro de la actividad del servidor.
  • Casi 1 TB de documentos borrados perfectamente recuperables.

No hace falta ser un experto para sacar algunas conclusiones de estas tres experiencias:

  1. Absoluta despreocupación de los dos usuarios domésticos por los datos incluidos en el producto que devolvieron.
  2. Conducta negligente de la empresa que devolvió el disco duro de red sin borrar adecuadamente los datos. Si hacen lo mismo cada vez que cambian los sistemas informáticos al acabar el renting, no podrán quejarse si alguien recupera esos datos y busca la forma de conseguir algún rendimiento económico con ellos.
  3. Gestión nefasta, por parte de las grandes superficies implicadas, de los productos devueltos, cuando éstos tienen capacidad para almacenar información.
  4. Escasa precaución del comprador al no comprobar si la caja ha sido abierta previamente. En mi caso, las tres cajas estaban precintadas pero se notaba que habían sido abiertas previamente. El problema es que, a veces, todas las cajas disponibles están igual, o bien es la última que queda y no puedes esperar. En una ocasión, la persona que me atendió se justificó diciendo que el fabricante les había pedido que actualizaran el firmware!! (sic). Si aún así acabas quedándote el producto, no es que no sepas comprar, es que no puedes reprimir la impaciencia y confías en que la tienda no te va a suministrar un producto en mal estado.

La política de aceptar devoluciones es buena porque garantiza la satisfacción del cliente que realiza la primera compra, pero, mal gestionada, genera un gran rechazo en el cliente que realiza la segunda compra, porque piensa que se trata de un producto de segunda mano que le han vendido como nuevo.

Me ahorro los comentarios relativos a la LOPD por ser más que evidentes.

 

Cancelación de datos en buscadores (I)

"Si un condenado por robo puede cancelar sus antecedentes penales al cabo de los años, ¿por qué no puedo eliminar la referencia a una multa de tráfico en Google?".

Probablemente esta pregunta ha asaltado a todo usuario que ha introducido su nombre en un buscador y ha tenido la amarga sorpresa de ver que algunos actos del pasado que le perjudicaban ocupaban posiciones privilegiadas en los resultados de la búsqueda y que no había ninguna referencia a su brillante expediente académico, a su trabajo o a cualquier otro aspecto de su vida del que podía sentirse más orgulloso.

En ciertas condiciones los buscadores de Internet pueden tener efectos desfavorables para la reputación de una persona. Ello es debido a las características de los buscadores que más definen su utilidad para los usuarios y su capacidad para diferenciarse de los competidores. Entre ellas cabe destacar las siguientes:


1. Indexación de gran alcance

El rastreo de los robots de los buscadores llega hasta el último rincón de la red, incluyendo sitios a los que nadie accede por desconocer que existen o por que carecen de interés. Sólo se excluyen de este proceso las páginas web que dan instrucciones a los robots para que no indexen su contenido.


2. Neutralidad

El buscador indexa tanto lo bueno como lo malo del pasado de una persona. La credibilidad de un buscador reside justamente en tratar por igual la información positiva y la información negativa. El buscador defiende al máximo este principio de neutralidad por muchas razones: credibilidad, garantía de no manipulación del algoritmo, imposibilidad de control, alto coste de gestión de las cancelaciones y oposiciones, posible responsabilidad como proveedor de servicios de información si introduce controles en la indexación, en el suministro de los enlaces y en los resultados de las búsquedas, etc. Por ello, los buscadores recurren todas las resoluciones de la Agencia Española de Protección de Datos en las que se les obliga a no indexar los contenidos negativos de una determinada persona.


3. Prioridad basada en la popularidad

Los contenidos negativos acostumbran a estar en boletines oficiales, periódicos, revistas…, es decir, en medios de comunicación que pueden llegar a ser más populares que los sitios que albergan los contenidos positivos: blogs, páginas personales, etc. También puede ocurrir que los propios usuarios seleccionen, por curiosidad o por morbo, los resultados más negativos, contribuyendo así a incrementar su nivel de popularidad en el buscador. Por ejemplo, la detención de un famoso por conducir bajo los efectos del alcohol genera más interés en los usuarios que su candidatura a un premio.


4. Localización instantánea o "efecto chivato"

Difícilmente una persona dedica su tiempo libre a leer el Boletín Oficial de la Provincia ni a buscar lo que se dice en él de sus amigos o conocidos. Sin embargo, si alguien introduce el nombre de una persona con poca actividad en la red en un buscador, es probable que los anuncios de embargos, multas o edictos judiciales publicados en los boletines oficiales aparezcan instantáneamente entre los primeros resultados. Existe una especie de ley de Murphy en los buscadores que hace que el contenido venga a ti aunque no lo estés buscando. Aunque sea una impresión subjetiva del afectado, parece que la ley de la fatalidad convierte la información negativa en un contenido "push" y a la información positiva en un contenido "pull".


5. Efecto amplificador

En algunos casos, el buscador amplía el alcance de difusión de un contenido, ya que permite que muchas personas que ni siquiera lo buscaban, ni conocían su existencia o localización, puedan acceder a él. Es posible que alguien se haya mantenido al margen de la red y los únicos contenidos relacionados con él en Internet sean los que aparecen en boletines oficiales, registros públicos y otras fuentes ajenas a su control.

En esos casos es posible que se convierta en relevante, por único o escaso, un dato negativo que se diluiría en el conjunto de la información relativa a una persona si esos datos positivos estuviesen también en la red. Por eso la primera estrategia de una persona que desea mejorar su reputación en la red consiste en publicar contenidos positivos sobre su persona en la red, que desplacen a los contenidos negativos a posiciones menos privilegiadas en los resultados de las búsquedas.

También se amplifican notablemente los contenidos por aparecer en las primeras posiciones de los resultados, debido a la popularidad de la fuente, a los clics de los usuarios de los buscadores o, como he dicho, a la ausencia de otros contenidos sobre esa persona. En estos casos se genera un círculo vicioso, ya que los primeros resultados son los más seleccionados por los usuarios y ello hace que se perpetúen en las primeras posiciones.

El efecto más dramático se produce cuando el nombre de una persona es indexado de forma asociada a una patología, defecto, adicción o afición. El efecto amplificador puede llegar al extremo de mostrar dicha asociación al facilitar el autocompletado de la búsqueda de los usuarios. Por ejemplo, completando de forma automática el nombre de una persona con palabras como alcohol, drogas, suicidio, etc.


6. Persistencia en el tiempo

La red no olvida. Hace unos años, visitar la hemeroteca de un periódico era como hacer arqueología entre montañas de papel llenas de polvo o pilas de rollos de celuloide rancio. Ahora Internet alberga todas las hemerotecas de los periódicos y constituye en sí mismo el mayor archivo de información creado por el hombre. Pero mientras unos se afanan en conseguir la máxima popularidad y las primeras posiciones en los buscadores, otros harían lo que fuese por desaparecer. Se trata de un colectivo que reclama el derecho al olvido, como acaba de reseñar la AEPD en su Memoria de 2009.

La persistencia en el tiempo de los contenidos alcanza su máximo exponente en la caché de los buscadores y en los grandes repositorios históricos, como Archive.org, que con su WayBack Machine permite visitar todas las versiones de una página web desde 1996.

Evitar la persistencia en el tiempo de un dato personal negativo exige por lo tanto la cancelación del mismo en la caché del buscador y en los repositorios históricos, así como la oposición a futuros tratamientos de indexación por parte del buscador.


Confluencia de varios intereses

El tratamiento de los datos personales con impacto reputacional negativo en los buscadores puede ser visto desde diferentes ópticas y provoca la confluencia de intereses tan legítimos como contrapuestos:

  1. El interés del usuario del buscador en encontrar tanto la información positiva como negativa de una persona.
  2. El interés de la fuente de la información en que sus contenidos sean indexados por los buscadores y aparezcan en las primeras posiciones de los resultados de la búsqueda.
  3. El interés del afectado en poder cancelar las referencias a datos que le perjudican y a que la red se olvide de él o de ciertos aspectos de su pasado.
  4. El interés del buscador en ofrecer un servicio que garantice la neutralidad de las búsquedas, indexando y haciendo accesibles los contenidos que existen en la red, sin manipulaciones ni privilegios.

En las siguientes entregas de este artículo, analizaré:

  1. Los casos en los una persona puede tener interés en que sus datos dejen de ser indexados por los buscadores.
  2. Las resoluciones de la AEPD en las que se ha exigido a un buscador que dejase de indexar datos de una persona.
  3. Los requisitos necesarios para que una persona pueda gestionar su reputación online oponiéndose a la indexación de sus datos.

Riesgos legales de las restricciones presupuestarias en las empresas

Con el fin de analizar los riesgos legales de las restricciones presupuestarias en la empresa, PwC está organizando un ciclo de sesiones de trabajo, de las que surgirá una guía de buenas prácticas.

A pocas semanas del cierre del ejercicio, las empresas deben analizar seriamente los riesgos que pueden resultar de un plan de austeridad equivocado.

Entre las áreas a analizar figuran el uso de software sin licencia, la seguridad informática, el plan de continuidad del negocio, el control de los proveedores, la eventual reducción de la cobertura del seguro de responsabilidad civil y otras partidas presupuestarias que han sido objeto de reducción en las empresas.

La primera sesión tendrá lugar el día 3 de diciembre a las nueve de la mañana en la sede de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, en la calle Capitán Haya, 41 de Madrid. La sesión, en la que colabora el Ministerio de Industria y la Business Software Alliance, estará dedicada a los riesgos de limitar el presupuesto destinado a la adquisición de software y la correspondiente amenaza del uso de software sin licencia.

Adjunto invitación a la sesión, que va dirigida a las asesorías jurídicas internas, así como a los responsables de seguridad y LOPD de las grandes empresas.

Descargar Invitación Madrid

Artículo 2.3 – ¿Qué es un empresario individual?

En el texto comentado en el post anterior la Agencia rescata un criterio utilizado en 2001 para considerar incluidos a los profesionales liberales en el ámbito de protección de la LOPD. La Agencia se remite a la Ley 3/1993, de 22 de marzo, que establece el perfil de los electores de las Cámaras de Comercio. Siguiendo el mismo criterio, y suponiendo que fuese válida la distinción efectuada en esta ley, existirían estos dos grupos:

2.1 Actividades asimilables al concepto empresario individual

Las ejercidas por cuenta propia, en comisión o agencia, en el sector extractivo, industrial, de la construcción, comercial, de los servicios, singularmente de hostelería, transporte, comunicaciones, ahorro, financieros, seguros, alquileres, espectáculos, juegos, actividades artísticas, así como los relativos a gestoría, intermediación, representación o consignación en el comercio, tasaciones y liquidaciones de todas clases, y los correspondientes a agencias inmobiliarias, de la propiedad industrial, de valores negociables, de seguros y de créditos

2.2 Actividades no asimilables al concepto empresario individual

Estarán excluidas las actividades agrícolas, ganaderas y pesqueras de carácter primario y los servicios de Agentes y Corredores de Seguros que sean personas físicas así como las correspondientes a profesiones liberales no incluidas expresamente en el párrafo anterior.

Personalmente, considero que no puede negarse el carácter de empresario individual a este segundo grupo, en el sentido que el artículo 2.3 da a este concepto. Por lo tanto, debería prevalecer el criterio de la finalidad, de manera que los datos de contacto de los profesionales liberales sólo serían de carácter personal en el caso de que la finalidad del tratamiento fuese B2C.

La Agencia se pronuncia respecto al 2.2 y al 2.3

La AEPD viene a confirmar que, para saber si los datos de una persona que ostenta un cargo en una empresa o es empresario individual están excluidos del ámbito de aplicación del Reglamento, hay que aplicar la siguiente regla:

Finalidad B2B = dato excluido
Finalidad B2C = dato personal

En el terreno personal, debo decir que he encontrado cierta satisfacción/sorpresa en el hecho de que el Gabinete Jurídico de la Agencia haya utilizado los mismos anglicismos que he venido utilizando estas últimas semanas para explicar las dos finalidades.

Acceso al texto de la Agencia

Seguir

Get every new post delivered to your Inbox.

Únete a otros 764 seguidores